Sì, l’AI può essere usata anche con dati personali o informazioni riservate, ma non basta scegliere uno strumento che promette di non usare i dati per l’addestramento. Conta che cosa inserisci, per quale scopo, con quale account e servizio, chi tratta e può vedere i dati, per quanto tempo vengono conservati e quali regole si applicano. Se non puoi rispondere a queste domande, non inserire dati reali.
La prima distinzione è tra dati personali (informazioni che identificano una persona, direttamente o anche combinandosi con altre) e informazioni riservate dell’azienda (per esempio prezzi non pubblici, contratti, credenziali, codice o strategie). Un documento può contenere entrambe le cose; l’assenza di nomi non rende automaticamente sicuro condividerlo.
Quali dati vuoi inserire?
| Tipo di informazione | Come orientarsi |
|---|---|
| Contenuti pubblici o dati sintetici | Rischio generalmente più basso. Usa comunque uno strumento approvato e verifica la risposta. |
| Dati interni non personali e non riservati | Usali solo se la policy aziendale consente quel servizio e l’account ha impostazioni e accessi adeguati. |
| Dati personali comuni, come nome, email o dati di un cliente | Prima di inserirli, l’organizzazione deve verificare finalità e base giuridica, informativa, ruolo e condizioni del fornitore, accessi, conservazione e misure di sicurezza. L’uso deve essere necessario e limitato allo scopo. |
| Dati particolari o altamente riservati | Salute, biometria, opinioni politiche, religione, appartenenza sindacale, vita sessuale, credenziali, fascicoli HR, segreti commerciali o documenti coperti da riservatezza richiedono valutazione specifica e autorizzazione. Se mancano, non caricarli. |
I dati particolari sono categorie definite dall’articolo 9 del GDPR e hanno condizioni aggiuntive. Non basta anonimizzare il nome o avere il consenso in una chat: il titolare del trattamento deve stabilire se l’uso è lecito e quali garanzie servono. Questa è una verifica organizzativa, da fare con chi gestisce privacy, sicurezza o gli obblighi professionali; l’articolo non sostituisce una valutazione legale del caso concreto.
“Non usiamo i tuoi dati per addestrare” non risponde a tutto
Addestramento, conservazione, accesso del fornitore e trasferimento dei dati sono questioni diverse. Prima dell’uso controlla le condizioni del prodotto e del piano specifici, non solo la pagina promozionale: chi è il fornitore contrattuale? Tratta i dati per conto dell’azienda? Quali subfornitori usa? Per quanto conserva prompt e file? Puoi eliminarli? Chi nell’organizzazione può accedere alle conversazioni e ai connettori?
Se il fornitore tratta dati personali per conto dell’azienda, va verificato anche il rapporto contrattuale e il ruolo previsto dal GDPR (inclusi gli obblighi dell’articolo 28 quando applicabili). Il Parere 28/2024 dell’EDPB sui modelli di IA richiama, tra gli aspetti da valutare, base giuridica e anonimizzazione. Disattivare l’addestramento può essere una misura utile, ma da solo non rende lecito o appropriato qualsiasi caricamento.
Un esempio: riassumere una richiesta di assistenza
Supponiamo che tu voglia usare l’AI per classificare le email dei clienti. Invece di incollare subito una conversazione completa con nome, numero d’ordine, indirizzo e dettagli di pagamento:
- Definisci lo scopo: per esempio assegnare l’email a “reso”, “ritardo” o “problema tecnico”.
- Riduci l’input: rimuovi identificativi e dettagli che non cambiano la categoria; se serve, usa un ID sostitutivo e conserva la corrispondenza separatamente.
- Controlla se basta: prova con esempi inventati o già anonimizzati e verifica che le categorie siano corrette.
- Usa solo il servizio autorizzato: account aziendale e configurazione approvati, con accessi limitati a chi ne ha bisogno.
- Rivedi la risposta: una classificazione generata non deve diventare automaticamente una decisione su un cliente o un dipendente.
Sostituire un nome con “Cliente A” è spesso pseudonimizzazione, non anonimizzazione: se l’identità può essere ricostruita usando un elenco o altri dettagli, il dato resta personale. Anche ruolo, località, data e circostanze possono identificare una persona quando combinati.
La regola decisionale prima di incollare o allegare
- Puoi procedere quando lo scopo è chiaro, lo strumento è autorizzato, il trattamento è stato valutato e inserisci solo ciò che serve.
- Prima riduci o sostituisci i dati quando il compito può essere svolto con un estratto, dati sintetici o informazioni non identificative.
- Fermati e chiedi una verifica per dati sanitari o di altre categorie particolari, informazioni di clienti o dipendenti, credenziali, segreti aziendali, obblighi di riservatezza o account personali non approvati.
In sintesi: la domanda non è solo “questa AI usa i miei dati per addestrarsi?”, ma “la mia organizzazione può condividere proprio questi dati con proprio questo servizio per questo scopo?”. Se la risposta non è stata verificata, non caricare il documento. Per definire processi AI adatti alla tua attività, con strumenti e controlli coerenti, puoi parlare con Digital Noa per una consulenza e strategia digitale.
Fonti normative: Regolamento generale sulla protezione dei dati (GDPR), in particolare articoli 5, 6, 9 e 28; Parere 28/2024 dell’EDPB.
